Falta la opción L2TP en el diálogo de red: qué hay que instalar

Añade una conexión VPN, busca L2TP/IPsec en la lista y no está. O está, el perfil se guarda y la conexión muere con un mensaje sobre un complemento. Ambos síntomas apuntan a una pila de paquetes que se instalan por separado, y el diálogo solo te muestra el final. Traza el mapa de las piezas antes de instalar nada.

Empieza por la pila, no por el menú

La opción aparece cuando el gestor encuentra un complemento que anuncia ese tipo de VPN. Ese complemento, a su vez, necesita un demonio L2TP y una implementación de IPsec en tiempo de ejecución, además de un módulo PPP para el enlace. Cada uno es un paquete aparte con su propia cadena de dependencias, y una distribución puede enviarlos en combinaciones que solo están completas en parte. Instalar un demonio IPsec por sí solo no añade nada a la lista, porque el gestor no lo busca. Lee primero los complementos instalados y luego baja hacia abajo.

Un elemento que falta en el menú es una cuestión de empaquetado. Casi nunca es una cuestión de configuración, por mucho que lo parezca.

Editar y ejecutar son paquetes distintos

El complemento del servicio establece conexiones, y un componente editor es lo que permite que una ventana de ajustes de escritorio muestre y guarde las opciones del protocolo. Se empaquetan por separado, y algunas distribuciones envían uno sin el otro. El resultado es una conexión que existe, se puede iniciar desde la línea de comandos y no se puede editar en la herramienta gráfica.

Mira el entorno de escritorio en ejecución antes de elegir un nombre de paquete. El componente de edición de GNOME no es el mismo paquete que una interfaz de KDE, y una distribución puede renombrar cualquiera de los dos. Toma el nombre de la lista de paquetes de esa versión.

El complemento PPP vive en una ruta con versión

L2TP funciona sobre PPP, y el complemento que carga el servicio se compila contra una versión concreta de PPP, así que vive en un directorio con el nombre de esa versión. Una receta que fija una ruta antigua describe la máquina en la que se escribió. Si la versión de aquí es distinta, el complemento no se encontrará por mucho cuidado con que se haya copiado el comando.

Ese es el argumento más fuerte a favor del paquete de la distribución frente a una compilación copiada. Los mantenedores de paquetes siguen esta ruta; una línea configure copiada no lo hace.

Un fallo de negociación no es un fallo de instalación

Una vez que la opción existe y el perfil se guarda, el siguiente fallo es otra clase de problema. Que un par rechace la autenticación es el backend IPsec diciéndote algo concreto.

Lee el registro propio del backend antes de reinstalar nada. El diario del gestor muestra el complemento entregando el control y el demonio IPsec informando por qué se detuvo, y esas dos líneas juntas identifican qué lado rechazó. Reinstalar un editor no arregla una clave compartida rechazada, y reinstalar un complemento no arregla un servidor que espera propuestas distintas. Separa las capas en tus notas antes de tocar un paquete.

Dos secretos, dos campos

La autenticación IPsec y el inicio de sesión PPP del usuario son secretos sin relación que casualmente están en el mismo diálogo. Uno autentica las máquinas, el otro autentica a una persona ante el servicio L2TP, y un servidor puede aceptar uno mientras rechaza el otro.

Pon la contraseña de la cuenta en el campo PPP y el secreto compartido en el campo IPsec, y luego comprueba por cuál de los dos se quejó el registro. Copiar una contraseña en una casilla de secreto compartido porque ambos campos están enmascarados es un error habitual y completamente silencioso. Anota las versiones de paquete con las que acabaste, porque la siguiente máquina necesita la misma combinación y el diálogo no le dirá a nadie cuál es.